Un defecto de diseño en los enlaces compartidos expone las conversaciones personales de los usuarios con el Muse de Meta
wired ·
Investigadores de seguridad de Claroc descubrieron una importante falla de diseño en el asistente de IA de Meta, Muse, que les permitió enumerar y acceder fácilmente a conversaciones sensibles de los usuarios. La vulnerabilidad se debía a la forma en que se construían los enlaces compartidos, específicamente al incrustar los títulos de las conversaciones en el subdominio de las URL alojadas en cf.metaaiusercontent.com. Esta estructura hacía que los enlaces fueran descubribles mediante búsquedas pasivas de DNS, exponiendo datos privados como solicitudes de préstamos, informes financieros y calendarios personales. Como respuesta a estos hallazgos, Meta ha suspendido la función de compartir mientras revisa el problema y considera los cambios necesarios. Este incidente sigue a otras preocupaciones recientes de seguridad para Muse, incluida una vulnerabilidad de día cero reportada por Patrick Wardle que podría permitir el secuestro de cuentas. Aunque Meta comercializa a Muse como un producto diseñado con la privacidad y la seguridad en mente, esta falla destaca los riesgos asociados con su integración profunda en las cuentas de los usuarios. La compañía declaró que el programa de recompensas por errores facilitó el descubrimiento de este problema, lo que provocó la pausa inmediata de la funcionalidad.
wired